Dataskydd och QR-koder: Det här måste schweiziska företag tänka på enligt DSG
QR-koder ses i allmänhet som ofarliga tekniska verktyg – ett mönster av svarta och vita rutor som leder till en webbplats. Men så snart en kod behandlar data eller leder till formulär som samlar in personuppgifter hamnar den inom ett dataskyddsrättsligt område som är relevant även för schweiziska företag.
Obs: Den här artikeln ger en allmän översikt och ersätter inte juridisk rådgivning. Har du konkreta frågor om din egen situation rekommenderas du att vända dig till en specialist.
Den reviderade dataskyddslagen (revDSG) som rättslig grund
Den reviderade schweiziska dataskyddslagen (revDSG) har gällt i Schweiz sedan september 2023. Den kräver bland annat följande av företag:
- Transparens: De registrerade måste kunna förstå vilka uppgifter som behandlas och i vilket syfte – oftast genom en integritetspolicy.
- Dataminimering: Endast så mycket data som faktiskt behövs för det specifika syftet får samlas in.
- Lämplig säkerhet: Tekniska och organisatoriska åtgärder måste skydda behandlade uppgifter mot missbruk, förlust eller obehörig åtkomst.
- Anmälningsplikt vid incidenter: Vissa personuppgiftsincidenter måste anmälas till den federala dataskydds- och informationsombudsmannen (FDPIC).
Där QR-koder konkret spelar in
Skanningsstatistik som databehandling
Om en dynamisk QR-kod registrerar när, hur ofta och med vilken enhet den har skannats är det en form av databehandling. Om enskilda skanningar potentiellt kan kopplas till en viss person via IP-adressen bör det nämnas i din integritetspolicy – även om många QR-kodleverantörer redan behandlar IP-adresser anonymiserat och därmed minskar risken betydligt.
Formulär och landningssidor bakom koden
Om en QR-kod leder till ett kontaktformulär, en nyhetsbrevsanmälan eller en tävling där personuppgifter efterfrågas gäller samma krav för den landningssidan som för alla andra formulär: Det måste finnas tydlig information om användningssyftet och en giltig rättslig grund för behandlingen. I tveksamma fall krävs också uttryckligt samtycke.
vCard-koder med andras kontaktuppgifter
Om en vCard-QR-kod inte skapas för en själv utan för en annan person (till exempel för medarbetare på gemensamma namnbrickor) bör man kontrollera om den berörda personen samtycker till att hens kontaktuppgifter publiceras.
Placering utanför Schweiz
Om skanningen eller den underliggande databehandlingen sköts av en leverantör med säte eller serverplats utomlands kan även frågan om gränsöverskridande databehandling bli aktuell. Leverantörer med säte och hosting i Schweiz eller EU förenklar den bedömningen avsevärt i praktiken.
En praktisk checklista
- Står det i din integritetspolicy att skanningar av QR-koder kan analyseras i statistiskt syfte?
- Anonymiseras eller åtminstone förkortas IP-adresser vid analysen?
- Leder en QR-kod till ett formulär som samlar in personuppgifter – och är formuläret i sig utformat i enlighet med dataskyddsreglerna?
- Sprids känsligt innehåll eller innehåll som inte är avsett för allmänheten via en öppet tillgänglig QR-kod, trots att lösenordsskydd vore lämpligare?
- Vet du var QR-kodleverantören har sina servrar?
Ett pragmatiskt perspektiv
För de flesta vardagliga användningar – en meny, en kod med produktinformation, en länk till sociala medier – innebär dataskyddslagarna inga stora hinder, så länge de grundläggande kraven på transparens uppfylls. Det blir mer känsligt så snart en QR-kod direkt eller indirekt leder till personuppgifter – till exempel via ett formulär, en enkät med namnfält eller ett kontaktkort. I sådana fall lönar det sig att göra en snabb men noggrann kontroll innan koden går till tryck.
Det här ska du titta på när du väljer QR-kodleverantör
Om du vill säkerställa att din egen verksamhet följer dataskyddsreglerna bör du också granska det QR-kodverktyg du använder. Var lagras data? Anonymiseras IP-adresser? Och kan känsligt innehåll lösenordsskyddas vid behov? QRown har hosting i Schweiz och sparar som standard IP-adresser från skanningar bara i förkortad form – en stabil grund för att uppfylla dina dataskyddsskyldigheter med gott samvete.
Kom igång i dag!
Skapa dina QR-koder hos en schweizisk leverantör som prioriterar dataskydd från första början.